Zero-Trust-Prinzipien: Niemals vertrauen, immer überprüfen

Zero Trust ist ein Sicherheitsmodell, das auf dem Grundsatz beruht, dass standardmäßig keinem Benutzer, Gerät oder Netzwerk vertraut werden sollte — auch dann nicht, wenn es sich innerhalb des Unternehmensperimeters befindet. Bei der herkömmlichen Sicherheit wurde angenommen, dass innerhalb der Firewall alles sicher sei. Moderne Angriffe beweisen jedoch regelmäßig, dass diese Annahme falsch ist. Zero Trust ersetzt implizites Vertrauen durch eine explizite, kontinuierliche Verifizierung jeder Zugriffsanfrage.

Zero Trust beruht auf drei grundlegenden Prinzipien. Explizit verifizieren bedeutet, dass jede Anfrage anhand aller verfügbaren Signale authentifiziert und autorisiert werden muss. Das Prinzip der geringsten Privilegien anwenden beschränkt den Zugriff auf das, was für die jeweilige Aufgabe erforderlich ist. Von einer Sicherheitsverletzung ausgehen bedeutet, Systeme so zu entwerfen, als befänden sich Angreifer bereits im Netzwerk, sodass sich die Abwehr auf die Begrenzung des Schadens und die schnelle Erkennung lateraler Bewegungen konzentriert.

Das traditionelle Burgen-und-Gräben-Modell schützte die Netzwerkgrenze mit Firewalls und VPNs, gewährte innerhalb dieser Grenze jedoch weitreichendes Vertrauen. Moderne Bedrohungen — Cloud-Workloads, Remote-Mitarbeiter, SaaS-Apps und Insider-Bedrohungen — lassen die Bedeutung von „innerhalb des Perimeters“ zunehmend verschwimmen. Eine einzige durch Phishing erlangte Anmeldinformation kann Angreifern vollständigen internen Zugriff verschaffen. Zero Trust beseitigt die Annahme, dass intern automatisch vertrauenswürdig bedeutet.

Bei Zero Trust wird die Identität zur primären Steuerungsebene. Statt einem Netzwerkstandort (IP-Adresse, VLAN) zu vertrauen, muss jede Anfrage eine verifizierte Identität vorweisen — Benutzer, Gerät, Workload oder Service. Identitätsanbieter (IdP) wie Azure AD oder Okta bewerten kontinuierlich Signale: wer die Anfrage stellt, von welchem Gerät, an welchem Standort und mit welchem Risikoniveau.

Zero Trust erfordert, dass neben den Benutzern auch Geräte verifiziert werden. Ein konformes Gerät muss Sicherheitsanforderungen erfüllen: aktuelle Patches, aktivierte Festplattenverschlüsselung, ein ausgeführter EDR-Agent sowie keine erkannte Umgehung von Schutzmechanismen oder Rooting. Plattformen für Mobile Device Management (MDM) und Endpoint Detection and Response (EDR) stellen der Policy Engine diese Zustandsdaten zum Zeitpunkt des Zugriffs bereit.

Herkömmliche VPNs gewähren Zugriff auf Netzwerkebene — sobald die Verbindung hergestellt ist, können Benutzer auf zahlreiche Ressourcen zugreifen. Zero Trust ersetzt dies durch Zugriff auf Ressourcenebene: Jede Anwendung oder jeder Service gewährt Zugriff einzeln, basierend auf Identität, Gerätezustand und Kontext. Dies wird durch Software-Defined Perimeters (SDP) und Zero Trust Network Access (ZTNA)-Produkte erreicht, die Ressourcen unsichtbar machen, bis der Zugriff ausdrücklich gewährt wird.

Von einer Sicherheitsverletzung auszugehen bedeutet, Systeme so zu entwerfen und zu betreiben, als hätten Angreifer Ihre Umgebung bereits kompromittiert. Diese Haltung führt zu wichtigen Maßnahmen: den gesamten internen Datenverkehr verschlüsseln, damit laterale Bewegungen nicht beobachtet werden können, alles protokollieren für nachträgliche Untersuchungen, Mikrosegmentierung zur Begrenzung des Schadensradius implementieren und kontinuierliche Überwachung statt zeitpunktbezogener Audits durchführen.

Das Prinzip der geringsten Privilegien geht bei Zero Trust über RBAC hinaus. Just-in-Time-Zugriff (JIT) gewährt erhöhte Berechtigungen nur bei Bedarf und entzieht sie nach Ablauf eines Zeitlimits automatisch wieder. Just-enough-access (JEA) beschränkt administrative Aktionen auf bestimmte Befehle. Diese Ansätze verkürzen das Zeitfenster einer möglichen Ausnutzung erheblich, wenn ein privilegiertes Konto kompromittiert wird, da Anmeldedaten schnell ablaufen und der Berechtigungsumfang begrenzt ist.

Zero Trust ersetzt einmal authentifizieren, für immer vertrauen durch kontinuierliche Verifizierung. Nach der ersten Authentifizierung überwacht die Policy Engine während der gesamten Sitzung verschiedene Signale: ungewöhnliche Daten-Downloads, Zugriff von einem neuen geografischen Standort, Aktivitäten außerhalb der üblichen Arbeitszeiten oder Änderungen des Gerätezustands. Steigt das Risiko während der Sitzung, kann das System eine verstärkte Authentifizierung anfordern (erneut MFA verlangen) oder die Sitzung vollständig beenden.

Die Zero-Trust-Policy-Engine ist die Entscheidungsstelle, die Zugriffsanfragen bewertet. Sie verarbeitet Signale von Identitätsanbietern, aus der Geräteverwaltung, der Bedrohungsanalyse und der Verhaltensanalyse und wendet anschließend Richtlinien an, um jede Anfrage zu erlauben, abzulehnen oder eine zusätzliche Prüfung zu verlangen. Moderne Cloud-Plattformen setzen dies über Conditional Access (Azure AD), Access Context Manager (Google BeyondCorp) und ZTNA-Gateways um.

Cloud-Umgebungen sind der natürliche Einsatzort für Zero Trust, da es keinen physischen Perimeter zu verteidigen gibt. Jeder API-Aufruf, jede Kommunikation zwischen Services und jede Zugriffsanfrage eines Benutzers kann durch Cloud-IAM-Richtlinien, Service Meshes (wie Istio mit gegenseitigem TLS) und Cloud-native-ZTNA-Lösungen durchgesetzt werden. Das Modell der geteilten Verantwortung geht bereits davon aus, dass Sie der zugrunde liegenden Infrastruktur nicht vertrauen können — Zero Trust überträgt dieses Prinzip auch auf Benutzer und Workloads.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Zero Trust ersetzt implizites Vertrauen in den Perimeter durch kontinuierliche explizite Verifizierung. Die drei Grundpfeiler sind explizit verifizieren, das Prinzip der geringsten Privilegien anwenden und von einer Sicherheitsverletzung ausgehen. Außerdem wird die Identität zur primären Steuerungsebene und ersetzt den Netzwerkstandort als Vertrauensgrenze. Als Nächstes befassen wir uns mit Mikrosegmentierung und softwaredefinierten Perimetern, die Zero Trust auf der Netzwerkebene durchsetzen.